Los investigadores de Patchstack han identificado una vulnerabilidad crítica en el popular plugin WordPress OttoKit (anteriormente conocido como SureTriggers) que está siendo activamente explotada en ataques masivos. La brecha de seguridad permite a los atacantes crear cuentas de administrador no autorizadas en sitios web vulnerables, poniendo en riesgo más de 100,000 instalaciones activas.
Análisis Técnico de la Vulnerabilidad
La vulnerabilidad, catalogada como CVE-2025-27007, se origina en un error lógico dentro de la función create_wp_connection. Este fallo permite eludir los mecanismos de autenticación cuando no se ha configurado una contraseña de aplicación específica. OttoKit, diseñado para proporcionar funcionalidades de automatización e integración con servicios externos, se ha convertido en un vector de ataque significativo debido a su amplia base de usuarios.
Vector de Ataque y Metodología
Los atacantes explotan la vulnerabilidad mediante el REST API del plugin, enviando solicitudes maliciosas que simulan intentos legítimos de integración. El proceso implica la utilización de nombres de usuario administrativos predefinidos, contraseñas aleatorias y tokens de acceso falsificados. Una vez comprometido el sistema, los atacantes ejecutan llamadas API adicionales para establecer nuevas cuentas con privilegios administrativos.
Indicadores de Compromiso (IoC)
Las señales de actividad maliciosa incluyen peticiones sospechosas a los endpoints /wp-json/sure-triggers/v1/automation/action y al parámetro rest_route, conteniendo la carga útil «type_event»: «create_user_if_not_exists». Se recomienda a los administradores implementar monitorización continua de los registros del sistema para detectar estos patrones de ataque.
Mitigación y Recomendaciones de Seguridad
Los desarrolladores han lanzado un parche en la versión OttoKit 1.0.83 que implementa una validación obligatoria de tokens de acceso para todas las solicitudes. Es crucial que los administradores de sitios web actualicen inmediatamente a la última versión y realicen una auditoría exhaustiva de los registros del sistema para identificar posibles compromisos.
Esta vulnerabilidad representa la segunda amenaza crítica identificada en OttoKit desde abril de 2025, siguiendo a la CVE-2025-3102. Esta situación subraya la importancia de mantener una postura de seguridad proactiva, incluyendo actualizaciones automáticas de plugins, monitorización continua de la actividad del sitio y la implementación de medidas de seguridad en profundidad. Los administradores deben considerar la adopción de soluciones de seguridad WordPress especializadas y establecer procedimientos regulares de respaldo y recuperación ante incidentes.
